Initia ha detenido su blockchain de Capa 1 y todos los rollups conectados después de que un atacante explotara una vulnerabilidad de software previamente desconocida para acuñar tokens no autorizados y drenar aproximadamente 2,7 millones de dólares en criptomonedas de las reservas de puentes cross-chain.

La red dejó de procesar transacciones a las 15:41:30 UTC del 23 de octubre de 2026, dejando a los usuarios sin poder operar en la infraestructura blockchain interconectada de Initia. Para cuando los validadores coordinaron el apagado de emergencia, el atacante ya había trasladado AUSD, Ethereum (ETH) y USDC a Ethereum.

El cofundador de Initia, Ezaan Mangalji, identificó una falla previamente desconocida en la implementación de la Move Virtual Machine (MoveVM) de la red sobre Cosmos SDK, según una publicación en X. La vulnerabilidad permitió la creación de tokens no autorizados en la blockchain base, aunque no permitió al atacante acuñar tokens nativos INIT adicionales.

El atacante acuñó tokens sin respaldo y drenó las reservas de los puentes

El exploit comenzó aproximadamente a las 14:59 UTC, cuando el atacante ejecutó transacciones maliciosas que generaron representaciones sin respaldo de activos que normalmente se transfieren a Initia a través de puentes cross-chain.

Una investigación on-chain de Bitquery rastreó aproximadamente 7,48 millones de dólares en creación de tokens no autorizada a valor nominal, ejecutada en cuatro lotes a lo largo de 13 segundos. Sin embargo, gran parte de ese monto consistía en iUSD sintético que no podía canjearse a su valor nominal.

El atacante logró extraer aproximadamente 2,73 millones de dólares en activos reales de las reservas de los puentes que respaldan AUSD, ETH y USDC en Initia. Los retiros explotaron la relación entre los tokens emitidos en Initia y sus activos subyacentes custodiados en otras redes: los saldos no autorizados podían quemarse mediante transacciones de puente de otro modo legítimas, liberando criptomonedas reales de las reservas correspondientes.

Aproximadamente 1,4 millones de AUSD y 105 ETH fueron liberados a través de adaptadores de LayerZero del lado de Ethereum, mientras que otros 1,08 millones de USDC se movieron a través del Cross-Chain Transfer Protocol (CCTP) de Noble y Circle. Los activos robados posteriormente se convirtieron en aproximadamente 1.135,5 ETH y se consolidaron en una wallet de Ethereum.

El incidente se produce tras el reciente exploit del puente de Cysic, en el que un atacante acuñó 10 millones de tokens CYS no autorizados y transfirió aproximadamente 727.000 dólares en ganancias a Ethereum.

La reserva de USDC queda casi vacía mientras Agora responde

El ataque redujo significativamente la liquidez que respalda los activos transferidos de Initia, creando problemasmediatos de retiro para los usuarios legítimos. La reserva de USDC de Noble, que inicialmente contenía aproximadamente 1,09 millones de dólares, cayó a solo 63 dólares durante el incidente y los retiros posteriores. El saldo agotado impidió nuevos canjes, y se registraron 55 intentos de retiro fallidos antes de la detención de la red, muchos de ellos con solicitudes repetidas del mismo bot de trading.

La reserva de ETH del lado de Ethereum perdió aproximadamente el 96% de sus fondos, mientras que el adaptador de AUSD se agotó en alrededor del 71%.

Vulnerabilidades similares de reservas afectaron anteriormente a la Liquid Network, que suspendió operaciones en septiembre después de que casi 4.000 BTC salieran de su wallet de federación mediante un peg-out no autorizado.

Agora, el emisor de AUSD, confirmó en X que su propia infraestructura de stablecoins no se vio afectada. La compañía no tiene contratos nativos de AUSD desplegados en Initia, y sus reservas existentes de stablecoins permanecen totalmente respaldadas. Esto distingue la representación de AUSD afectada del lado de Initia y las reservas de los puentes de los contratos nativos de AUSD de Agora y sus reservas existentes de stablecoins. Agora también se comprometió a congelar los saldos de AUSD vinculados al atacante en las redes compatibles. Sin embargo, el AUSD robado ya había sido convertido en ETH antes de esa intervención, y no se ha establecido ningún congelamiento completado de esas ganancias.

Los exchanges suspenden las transferencias de INIT mientras continúa la investigación

El exchange surcoreano Upbit suspendió temporalmente los depósitos y retiros de INIT tras el incidente de seguridad y emitió un aviso de precaución de trading. El trading al contado no fue suspendido como parte de esa acción inicial. KuCoin también suspendió los depósitos y retiros de INIT el 24 de octubre, citando mantenimiento esencial de la red, según un anuncio oficial.

Initia, que anunció el apagado en X, está trabajando con especialistas en seguridad, validadores y exchanges de criptomonedas para determinar el alcance completo de la vulnerabilidad y evaluar las pérdidas en los puentes afectados. La investigación no ha establecido una cifra final de pérdidas financieras, una causa técnica raíz completa ni un acuerdo de compensación para los usuarios afectados. No se ha anunciado el lanzamiento de un parche ni una fecha confirmada de reinicio de la red.

Initia ha advertido a los usuarios que eviten enlaces de recuperación no oficiales y mensajes sospechosos mientras la blockchain de Capa 1 y los rollups conectados permanezcan suspendidos.